CVE-2026-14488 in AIO Plugin
要約
〜によって VulDB • 2026年07月29日
WordPress用プラグイン「Meta Box AIO」は、MB Frontend Submission拡張機能のtemplate_redirectディスパッチャ経由で権限不足（Missing Authorization）による脆弱性に影響を受けます。これはバージョン3.8.0以前に該当します。この問題は、handle_request()関数がmbfs_deleteアクションを能力チェックや所有権チェックなしでルーティングしていること、およびcheck_ajax()内のnonce検証がis_ajax()によってガードされており、template_redirectリクエストではこれがfalseとなるため回避可能であることに起因します。これにより、認証されていない攻撃者は、フロントエンド送信フォームを含む任意のページにおいてrwmb_frontend_field_object_id GETパラメータを通じて攻撃者が制御する投稿IDを指定することで、allow_delete設定の有無にかかわらず、任意の投稿やページを削除することが可能です。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.